[發明專利]經由多層文件系統狀態檢測文件系統修改的系統和方法

在審

• 申請號: 202010651101.0
• 申請日: 2020-07-08
• 公開（公告）號: CN111783106A
• 公開（公告）日: 2020-10-16
• 發明（設計）人: 邁克爾·哈爾克羅;托馬斯·加尼爾
• 申請（專利權）人: 谷歌有限責任公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F9/455
• 代理公司: 中原信達知識產權代理有限責任公司 11219
• 代理人: 周亞榮;鄧聰惠

1.一種方法，包括：

由一個或多個處理器輸出文件的文件狀態；

由所述一個或多個處理器基于所述文件的所述文件狀態確定多層文件系統中的能夠找到與所述文件相對應的一個或多個對象的一個或多個層；

由所述一個或多個處理器基于找到與所述文件相對應的所述一個或多個對象的所述一個或多個層來檢測對所述多層文件系統的潛在威脅；以及

響應于所述潛在威脅而采取動作。

2.根據權利要求1所述的方法，進一步包括：

確定在所述多層文件系統的上層中的可修改鏡像中找到的與所述文件相對應的對象包含對在所述多層文件系統的下層中的基礎鏡像中找到的與所述文件相對應的對象的修改，

其中檢測所述潛在威脅進一步基于確定在所述可修改鏡像中找到的與所述文件相對應的所述對象包含對在所述基礎鏡像中找到的與所述文件相對應的所述對象的修改。

3.根據權利要求1所述的方法，進一步包括：

確定在所述多層文件系統的下層中的基礎鏡像中沒有找到與所述文件相對應的所述一個或多個對象，

其中檢測所述潛在威脅進一步基于確定在所述基礎鏡像中沒有找到與所述文件相對應的所述一個或多個對象。

4.根據權利要求3所述的方法，進一步包括：

創建所述基礎鏡像，

其中檢測所述潛在威脅進一步基于確定所述文件狀態指示所述文件在所述基礎鏡像之后被創建。

5.根據權利要求3所述的方法，進一步包括：

在所述多層文件系統的上層中構造一個或多個可修改鏡像，使得所述一個或多個可修改鏡像包含在應用的運行時期間對所述基礎鏡像做出的修改，

其中檢測所述潛在威脅進一步基于確定所述文件狀態指示所述文件在所述應用的運行時期間被創建。

6.根據權利要求3所述的方法，進一步包括：

在所述多層文件系統的上層中構造一個或多個可修改鏡像，使得所述一個或多個可修改鏡像包含在運行應用的容器的實例期間對所述基礎鏡像做出的修改，

其中檢測所述潛在威脅進一步基于確定所述文件狀態指示所述文件在所述容器的所述實例期間被創建。

7.根據權利要求1所述的方法，進一步包括：

確定所述文件是否是可執行二進制文件，

其中檢測所述潛在威脅進一步基于確定所述文件是可執行二進制文件。

8.根據權利要求1所述的方法，進一步包括：

確定所述文件是否是庫文件，

其中檢測所述潛在威脅進一步基于確定所述文件是庫文件。

9.根據權利要求1所述的方法，進一步包括：

確定所述文件是否是腳本，

其中檢測所述潛在威脅進一步基于確定所述文件是腳本。

10.根據權利要求1所述的方法，進一步包括：

確定涉及所述文件的進程是否使得處理資源的使用率滿足閾值，

其中檢測所述潛在威脅進一步基于確定所述處理資源的使用率滿足所述閾值。

11.根據權利要求1所述的方法，進一步包括：

確定所述文件是否存儲在硬盤中，

其中檢測所述潛在威脅進一步基于所述文件未被存儲在硬盤中。

12.根據權利要求1所述的方法，響應于所述潛在威脅而采取動作包括基于所述潛在威脅生成通知，以及

將所述通知輸出到用戶界面。